首席資訊安全長 (CISO) 必須學習的 10 門課程，以領導安全、人工智慧和事件回應

上次審核日期為 2026 年 11 月 4 日，依據本文連結的來源。

董事會將於週四召開會議，主席向首席資訊安全官 (CISO) 提出了一個問題：「如果我們明天遭受勒索軟體攻擊，誰來決定應對措施？我們是否進行過演練？」工具固然重要，但答案取決於治理、演練以及員工的快速匯報。這正是高階主管網路安全培訓必須涵蓋的內容。美國國家標準與技術研究院 (NIST) 在其網路安全框架 2.0 中強調了這一點，該框架新增了第六項職能。 治理涵蓋角色、職責和權限、政策以及網路安全戰略的監督。.

這份清單為首席資訊安全長 (CISO) 提供了運行此專案所需的課程。您將獲得 10 門現成的課程，分為 3 組，分別介紹每門課程解決的問題以及部署方法。每個組都以一個…結尾。 我們的選擇這些法律要點描述的是美國聯邦法規，因此請將其作為教學大綱，而不是判決書。

全部10門課程概覽

兩項課程依據美國聯邦法規制定，僅適用於部分機構。根據《國家工業安全計畫營運手冊》(NISPOM) 的規定，獲得安全許可的國防承包商必須為新近獲得安全許可的員工提供此類課程。 在授予存取機密資訊的權限之前，進行內部威脅意識培訓。 並驗證初始和年度完成情況。聯邦貿易委員會保障規則規定，受監管的金融機構必須提供 對其員工進行安全意識培訓兩者都不會為其他人設定方向。

治理與框架

管理者和董事會的網路風險治理

這門40分鐘的課程將網路風險視為業務風險。課程涵蓋五個關於組織風險偏好和簡潔儀錶板的問題，探討了支付、告知和權衡取捨等灰色地帶，闡述了職責的來源，以及領導層下一步應採取的行動。首席資訊安全長 (CISO) 可以在董事會會議前與領導團隊一起學習這門課程。 「儀表板顯示數百項指標」這個問題可以作為選擇答案的幻燈片，並引出正確的討論。董事會成員將獲得自己的清單。 我們的董事會培訓指南.

使用此模板

IT治理、企業架構與IT稽核架構：COBIT與TOGAF

這門45分鐘的課程以「無人負責的系統」開篇，然後講解了IT治理對價值、風險和資源的重要性、治理與管理目標的區別、架構開發方法、成熟度模型以及如何規劃IT審計並向領導層提交報告。它為向首席資訊安全長 (CISO) 匯報的IT經理提供了一個共同的框架。 「治理還是管理？」的分類練習構成了一個快速的選擇題環節。

使用此模板

ISO/IEC 27001 與資訊安全管理體系

首席資訊安全長 (CISO) 通常負責資訊安全管理系統 (ISMS)，每位員工都是其中的一份子。這門 40 分鐘的課程解釋了什麼是 ISMS、政策如何轉化為實踐、如何處理例外情況和弱點，以及如何與審計員溝通。建議在認證或監督審計之前進行培訓，以便員工能夠用證據回答問題。課程中關於「你會向審計員展示什麼？」的開放式幻燈片可以幫助及早發現安全漏洞。

使用此模板

我們的推薦：管理者和董事會的網路風險治理。 它將 NIST 的 Govern 功能轉化為領導團隊可以回答的五個問題，而這正是大多數 CISO 首先需要進行的對話。

事件準備和內部風險

管理人員的勒索軟體桌面演練

這門60分鐘的課程以桌面演練的形式分為三個部分：第一部分（決策與溝通）、第二部分（備份與修復）。管理人員將練習誰負責隔離機器、誰負責與媒體溝通以及誰負責決定贖金，課程將以領導和法律建議的形式解答贖金問題。課程最後會進行7題的最終檢查。請使用事件負責人和溝通負責人的真實姓名進行實戰演練。有關執行計劃的分析師，請參閱… 我們的 SOC 分析師培訓清單.

使用此模板

內部威脅意識

內部威脅應對計畫通常由首席資訊安全長 (CISO) 負責，涵蓋從偵測到回應的整個流程。這門 30 分鐘的課程涵蓋了檢測的重要性、行為、技術和財務指標、攻擊者如何招募可信賴內部人員、應該做什麼和不應該做什麼，以及應該向哪裡報告。課程最後設​​有 10 題的最終考核，80% 的正確率即可通過。對於已獲得安全許可的美國承包商而言，這是一種現成的培訓方式，可以滿足上述 NISPOM 規則的要求，儘管該規則並未指定特定的課程。

使用此模板

我們的推薦：管理人員的勒索軟體桌面模擬器。 一個未經演練的計劃在第一小時內就失敗了，而這種桌面推演方式讓領導者在真正的壓力到來之前做出決定。

員工安全習慣與人工智慧風險

安全意識要點

這是首席資訊安全長 (CISO) 負責的基本安全意識培訓計畫。這門 35 分鐘的課程涵蓋了攻擊目標的成因、攻擊的構成、危險信號、如何保護自身安全以及如何應對和報告攻擊，最後設有 12 道題的考核，80% 的正確率即可通過。對於受監管的金融機構而言，這套課程是滿足聯邦貿易委員會 (FTC) 安全保障規則中安全意識培訓要求的現成途徑，儘管該規則並未指定具體的課程。

使用此模板

網路釣魚與社會工程

網路釣魚抵禦能力是首席資訊安全長 (CISO) 的常用指標。這門 30 分鐘的課程講解了攻擊的構建方式、識別危險信號、如何保護自己以及如何舉報，課程最後設​​有 12 道題的考核，80% 的正確率即可通過。請將此課程與您的檢舉按鈕關聯起來，確保課程內容與指標相符。

使用此模板

員工密碼、通行金鑰和多因素身份驗證

推出密碼金鑰和多因素身份驗證 (MFA) 是一項專案決策，員工需要了解原因。這門 30 分鐘的課程涵蓋了帳戶為何成為攻擊目標、如何創建強大且唯一的登錄方式、多因素身份驗證和密碼密鑰、虛假登錄頁面以及共享、快捷方式和恢復等方面的灰色地帶。建議在新登入方式上線的那一週推出此課程。

使用此模板

人人享有人工智慧安全：影子人工智慧、提示注入和操控輸出

針對影子人工智慧和提示注入的AI安全策略，首席資訊安全長（CISO）的職責日益加重。這門30分鐘的課程涵蓋了影子人工智慧和被入侵的聊天機器人、提示注入和惡意內容、PDF和電子郵件中的隱藏指令、免費的AI擴展程序，以及如何申請使用已批准的工具或報告安全事件。課程最後還會展示一個關於「你在工作中使用哪些AI工具？」的詞雲，揭示你可能不了解的影子人工智慧。

使用此模板

社會工程、詐欺和深度偽造：電話詐騙、支付詐騙和身分冒用詐騙

深度偽造和身分冒用詐騙應該納入所有高階主管威脅簡報的內容，因為攻擊者正是模仿高階主管的姓名和聲音。這門35分鐘的課程以令人信服的請求為基礎，涵蓋了各種攻擊手法、如何驗證付款變更、偽造語音和視頻，以及為什麼資歷和保密反而會成為壓力，而非證據。建議先在財務部門和高階主管助理中推廣。

使用此模板

我們的推薦：人人都能享有的AI安全保障。 員工採用人工智慧工具的速度往往比政策跟進的速度更快，本課程為他們提供了一個簡單的請求、使用、檢查和報告循環。

如何實施該計劃

首先從治理入手。 NIST 的 CSF 2.0 提出了… 治理 首先：高階主管設定風險偏好、問責制和資源的預期，其餘的計畫都以此為基礎。

1. 本季，針對領導者： 網路風險治理，然後是與事件計劃中指定的人員一起進行勒索軟體桌面討論。
2. 對於每位員工，在入職時： 安全意識要點、網路釣魚、密碼、通行金鑰和多因素身份驗證。
3. 致 IT 和安全經理： 在下次審核之前，請準備好 COBIT、TOGAF 和 ISO 27001 認證。
4. 每年： 每當推出新的 AI 工具時，都要重新進行桌面演練、每門課程的複習測驗以及 AI 安全課程。
5. 適用情況： 獲得安全許可的美國國防承包商在接觸機密資訊之前以及之後每年都會接受內部威脅培訓；受監管的金融機構會按照聯邦貿易委員會保障規則的要求，定期更新安全意識培訓。請諮詢您的律師，以了解您所在國家或州還有哪些其他適用規定。

開展這些課程的方法 AhaSlides

你可以利用以下任何一項功能，將這些內容建構成自訂進度的課程： AhaSlides 課程創建者可以將其作為即時問答環節的簡報進行講解，或者兩者兼而有之，並在課程結束後進行調查，以了解發生了哪些變化。

1. 選擇答案： 在桌面上，展示贖金信，並詢問誰來決定下一步。
2. 詞云： 詢問領導者“您最擔心網路安全事件的哪一點？”，並將其與您的風險登記冊進行比較。
3. 評分標準： 在事故發生前後，詢問“我們的事故應急計畫準備如何？”，答案從 1 到 5。
4. 開放式： 在直播課程結束後，收集匿名問題提交給董事會。

常見問題

首席資訊安全長需要接受哪些訓練？

首席資訊安全長 (CISO) 需要具備風險和治理、事件回應領導能力、相關規則知識以及向董事會匯報的能力。上述課程涵蓋了 CISO 負責的專案；認證則代表了其個人資格。

首席資訊安全官（CISO）需要哪些認證？

常見的認證包括CISSP、CISM和EC-Council CCISO。以上課程均不構成認證。

領導者應該多久進行一次應急演練？

至少每年一次是合理的基準，並且在發生重大變化（例如合併、新系統或新事件負責人）後也應再次進行。

什麼是勒索軟體桌面？

勒索軟體桌面演練是一種基於討論的練習，旨在模擬領導者在勒索軟體攻擊期間做出的決策，而無需接觸即時系統。

本文僅提供一般信息，不構成法律建議。如需就您所在工作場所的相關事宜做出決定，請諮詢合格律師或監管機構。